アカウント名:
パスワード:
印刷されたQRコードを手か何かで覆って変化するかどうか見れば良いのかな
ああ、賢いね。紙で覆うとかでも良いし。それも検出されるとアウトかもだが、どっちにせよ、いたちごっこだからなあ。とりあえず素晴らしい！
誉めたけど自己レス。ちゃんとしたQRコードを高輝度で投射されたら、紙や手のひらでは読んでしまうかもしれない。
何か平面でないもの、平面ならQRコード面に対して傾けるとかして、投射されたQRコードを歪ませるか、鏡を置いてレーザーを明後日の方向に向けるかするべきだな。或いは体か何かでレーザーを遮るとか。
なんか今回のネタを誤解しているように見受けられますが、
・印刷して壁などに掲示しているQRコードに対して、・ある黒の一ドットに対して、その一ドット分の大きさでピンポイントにレーザーを照射することで、・そのドットをQRコードリーダーからは白色と認識させることで、デコード結果をすり替える
というものですよ。
対策としては、周りからレーザー照射されても届かないようにスキャン対象のQRコードに囲いをしてからスキャンすればOKでしょう。ショルダーハック対策と似たような感じ?
・技術的に一ヶ所しか変えられないなんてことはないでしょ？・黒一ヶ所だけだとエラー訂正されるのでは？
> ・技術的に一ヶ所しか変えられないなんてことはないでしょ？それはまあその通りだと思いますが、元コメはQRコードまるごと全部レーザーで投影するように書いてたので、それは違う、と。
> ・黒一ヶ所だけだとエラー訂正されるのでは？発表では、実際に一ドットの書き換えで「u-yokai.ac.jp」→「u-tokai.ac.jp」にしてます。エラー訂正も含めて、一ドットで上手く変わってしまうようなデータにしているんだと思います。
まあ、そういう「書き換え可能なQRコード」自体レアで、どんなQRコードからでも詐称可能なのではなく、「レーザー書き換え可能なQRコードを掲示する」という悪意のある行為が前提だけど、「QRコードそのものには問題がないので、QRコードだけ見ても悪意が発覚しない」というもの。
発表の悪用例では「u-tokai.ac.jp」(東海大学)のQRコードを、「u-yokai.ac.jp」(妖怪大学)に誘導、としているのに、実例では逆になってるのは、
「ドットをグレーにして、読み込みのブレにより確率的に悪意あるサイトに誘導する」という先行研究で作ったQRコードが、たぶん「白でu-tokai、黒でu-yokaiになるドットを、白よりのグレーで印刷」したもので、そのQRコードを流用したんでしょう。今回改めて「u-tokaiから黒→白でu-yokaiになる」ようなQRコードを探し直すことができなかったんでしょうねぇ。そのあたりからして、この手法の非現実さがわかるというもので。
とはいえ、あらかじめそういうコードを用意して、がっちり固定して向きを微調整出来る赤外レーザー光学系を用意すれば出来るよ、ということですね
現実的かどうかは別として。でもカード並みに薄いカードスキマー作って仕掛ける奴が居るとかがあるそうですからねえ。対象がカードだからだろうけど
全体書き換えというか、すぐ横に誤誘導先URLのQRコードを丸々照射するという攻撃がありそうと思った。＞ 元コメはQRコードまるごと全部レーザーで投影するように書いてたので
肉眼にはほぼ不可視、しかしカメラには捉えられるようなQRコード投影。今回のとはやり口が異なるけど、十分あり得そう。
あるいは、本来QRコードを読み取る意図が無いのに、写真を撮ろうとしたら割り込んでくる不可視のQRコードとかね…。地味にうざったいかもしれない。
自己レス:元論文を登録してまで読むつもりはないけど、itmediaの図（妖怪大学の絵がある図のコードと、赤色レーザーを照射した図）では一ドットだけ改変させてるように見えるえー。じゃあ元のコードもエラー訂正レベルを低くしてるとか？最低でも7%汚れてもなんとかなるんじゃないのか＞＞QRコード
それでも一ヶ所だけしか変えられないとかはないだろ、とは思うけどね。QRコードをプリントしたフィルムとレンズ用意して投影するだけだし
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
あと、僕は馬鹿なことをするのは嫌いですよ (わざとやるとき以外は)。-- Larry Wall
遠くからレーザー光で照射 (スコア:1)
印刷されたQRコードを手か何かで覆って変化するかどうか見れば良いのかな
Re: (スコア:0)
ああ、賢いね。紙で覆うとかでも良いし。それも検出されるとアウトかもだが、どっちにせよ、いたちごっこだからなあ。とりあえず素晴らしい！
Re: (スコア:0)
誉めたけど自己レス。
ちゃんとしたQRコードを高輝度で投射されたら、紙や手のひらでは読んでしまうかもしれない。
何か平面でないもの、平面ならQRコード面に対して傾けるとかして、投射されたQRコードを歪ませるか、鏡を置いてレーザーを明後日の方向に向けるかするべきだな。
或いは体か何かでレーザーを遮るとか。
Re: (スコア:1)
なんか今回のネタを誤解しているように見受けられますが、
・印刷して壁などに掲示しているQRコードに対して、
・ある黒の一ドットに対して、その一ドット分の大きさでピンポイントにレーザーを照射することで、
・そのドットをQRコードリーダーからは白色と認識させることで、デコード結果をすり替える
というものですよ。
対策としては、周りからレーザー照射されても届かないようにスキャン対象のQRコードに囲いをしてからスキャンすればOKでしょう。
ショルダーハック対策と似たような感じ?
Re:遠くからレーザー光で照射 (スコア:0)
・技術的に一ヶ所しか変えられないなんてことはないでしょ？
・黒一ヶ所だけだとエラー訂正されるのでは？
Re:遠くからレーザー光で照射 (スコア:1)
> ・技術的に一ヶ所しか変えられないなんてことはないでしょ？
それはまあその通りだと思いますが、元コメはQRコードまるごと全部レーザーで投影するように書いてたので、それは違う、と。
> ・黒一ヶ所だけだとエラー訂正されるのでは？
発表では、実際に一ドットの書き換えで「u-yokai.ac.jp」→「u-tokai.ac.jp」にしてます。
エラー訂正も含めて、一ドットで上手く変わってしまうようなデータにしているんだと思います。
まあ、そういう「書き換え可能なQRコード」自体レアで、どんなQRコードからでも詐称可能なのではなく、
「レーザー書き換え可能なQRコードを掲示する」という悪意のある行為が前提だけど、
「QRコードそのものには問題がないので、QRコードだけ見ても悪意が発覚しない」というもの。
発表の悪用例では「u-tokai.ac.jp」(東海大学)のQRコードを、「u-yokai.ac.jp」(妖怪大学)に誘導、としているのに、実例では逆になってるのは、
「ドットをグレーにして、読み込みのブレにより確率的に悪意あるサイトに誘導する」という先行研究で作ったQRコードが、
たぶん「白でu-tokai、黒でu-yokaiになるドットを、白よりのグレーで印刷」したもので、
そのQRコードを流用したんでしょう。
今回改めて「u-tokaiから黒→白でu-yokaiになる」ようなQRコードを探し直すことができなかったんでしょうねぇ。
そのあたりからして、この手法の非現実さがわかるというもので。
Re: (スコア:0)
とはいえ、あらかじめそういうコードを用意して、がっちり固定して向きを微調整出来る赤外レーザー光学系を用意すれば出来るよ、ということですね
現実的かどうかは別として。でもカード並みに薄いカードスキマー作って仕掛ける奴が居るとかがあるそうですからねえ。対象がカードだからだろうけど
Re: (スコア:0)
全体書き換えというか、すぐ横に誤誘導先URLのQRコードを丸々照射するという攻撃がありそうと思った。
＞ 元コメはQRコードまるごと全部レーザーで投影するように書いてたので
肉眼にはほぼ不可視、しかしカメラには捉えられるようなQRコード投影。
今回のとはやり口が異なるけど、十分あり得そう。
あるいは、本来QRコードを読み取る意図が無いのに、写真を撮ろうとしたら割り込んでくる不可視のQRコードとかね…。
地味にうざったいかもしれない。
Re: (スコア:0)
自己レス:
元論文を登録してまで読むつもりはないけど、
itmediaの図（妖怪大学の絵がある図のコードと、赤色レーザーを照射した図）では一ドットだけ改変させてるように見える
えー。じゃあ元のコードもエラー訂正レベルを低くしてるとか？
最低でも7%汚れてもなんとかなるんじゃないのか＞＞QRコード
それでも一ヶ所だけしか変えられないとかはないだろ、とは思うけどね。QRコードをプリントしたフィルムとレンズ用意して投影するだけだし